Tenho insistido que o mercado de seguros não está diante apenas de uma nova modalidade de fraude. O que estamos vivendo é mais profundo. A transformação digital alterou a própria natureza do risco, da prova e da confiança que historicamente sustentaram o contrato de seguro. Durante muito tempo, a fraude securitária esteve associada a comportamentos relativamente conhecidos: o sinistro deliberadamente provocado, o agravamento intencional do dano, a ocultação de circunstâncias relevantes, a falsificação documental, a simulação de eventos ou a apresentação de informações destinadas à obtenção indevida de uma indenização. Essas condutas permanecem, naturalmente, no cotidiano do setor, mas passaram a conviver com mecanismos tecnológicos capazes de produzir uma aparência de autenticidade muito mais sofisticada. A fraude digital não falsifica apenas documentos. Ela pode falsificar pessoas, vozes, imagens, comportamentos, narrativas e, em determinados casos, a própria realidade apresentada à seguradora.
É exatamente por isso que considero inadequado tratar cyber risk e fraude digital como temas distintos. Eles integram hoje o mesmo ambiente de risco. A seguradora pode ser vítima de um ataque cibernético, pode subscrever o risco cibernético de terceiros e pode receber uma reclamação de sinistro construída ou manipulada por meios digitais. Em muitos casos, esses fenômenos aparecem simultaneamente. Um ataque de phishing pode permitir a captura de credenciais, que pode permitir a alteração de dados cadastrais, que pode resultar na modificação da conta bancária destinada ao recebimento de uma indenização, que pode gerar posteriormente um litígio relacionado à validade do pagamento. Para a área de tecnologia haverá um incidente de segurança. Para a área de dados pessoais poderá haver uma violação. Para a regulação de sinistros poderá existir uma fraude. Para o jurídico surgirá uma questão de prova e responsabilidade. Mas, na realidade, estaremos diante de um único evento, artificialmente fragmentado pela organização interna da empresa.
A literatura internacional vem chamando atenção para essa característica há algum tempo. Christian Biener, Martin Eling e Jan Hendrik Wirfs, ao estudarem a insurabilidade do cyber risk, demonstraram que essa categoria desafia pressupostos clássicos do seguro porque reúne elevada incerteza, forte assimetria informacional, dificuldade de mensuração e possibilidade de perdas correlacionadas. Essa conclusão é importante porque o seguro tradicionalmente opera melhor quando consegue individualizar e distribuir riscos de maneira suficientemente previsível dentro de uma coletividade. O cyber risk, ao contrário, pode produzir eventos simultâneos em larga escala, atingir milhares de segurados por uma mesma vulnerabilidade e atravessar diferentes linhas de negócio. A OECD também tem destacado justamente essa dificuldade: a ausência de séries históricas suficientemente estáveis e o risco de acumulação tornam a precificação e a subscrição muito mais complexas do que em exposições tradicionais.
“A fraude deixa de manipular apenas uma prova e passa a ser capaz de construir um ecossistema inteiro de provas aparentemente coerentes”.
A fraude digital acrescenta uma camada adicional de dificuldade a esse problema. Não basta mais saber qual é a frequência esperada de determinado sinistro ou qual pode ser sua severidade econômica. Precisamos progressivamente responder a outra pergunta, talvez ainda mais sensível: até que ponto podemos confiar na evidência que demonstra que aquele sinistro ocorreu da forma apresentada? Essa é uma mudança importante. A falsificação tradicional partia, em regra, de um suporte verdadeiro que era alterado. A IA generativa permite algo diferente. Ela possibilita a criação de um documento inexistente, de uma imagem que jamais foi captada, de uma voz que nunca pronunciou aquela frase, de uma identidade sintética construída a partir de elementos reais e artificiais e até mesmo de um conjunto de documentos distintos que se confirmam mutuamente. A fraude deixa de manipular apenas uma prova e passa a ser capaz de construir um ecossistema inteiro de provas aparentemente coerentes.
Essa transformação tem consequências jurídicas muito concretas. A lei 15.040/24 passou a disciplinar de maneira expressa a fraude praticada por ocasião da reclamação do sinistro. O art. 69 estabelece consequências severas para a provocação dolosa do evento e, em seu § 4º, prevê a perda do direito à garantia quando houver fraude na reclamação. A disposição parece simples quando imaginamos a apresentação de um recibo falso ou a alteração deliberada de uma informação. Mas a realidade digital colocará diante dos tribunais situações muito mais complexas. Será necessário distinguir, por exemplo, o sinistro verdadeiro cuja prova foi artificialmente modificada do sinistro inteiramente fabricado; a utilização consciente de imagem produzida por IA daquela ocorrida sem conhecimento do segurado; a alteração destinada a ampliar o dano da mera inconsistência decorrente do próprio sistema utilizado; ou ainda a fraude praticada por terceiro mediante apropriação da identidade digital de um beneficiário legítimo.
É nesse ponto que a tecnologia antifraude também precisa ser observada com cautela. As seguradoras possuem hoje ferramentas extraordinariamente mais sofisticadas para identificar padrões de comportamento, cruzar dados, detectar redes de relacionamento suspeitas, verificar documentos, reconhecer manipulações de imagem e atribuir scores de risco. Essa evolução é indispensável e não há qualquer possibilidade de enfrentamento sério da fraude contemporânea sem utilização intensiva de tecnologia. Mas existe uma distinção jurídica que não pode ser esquecida: anomalia não é fraude, correlação não é causalidade e probabilidade estatística não representa, por si só, dolo. Um sistema pode indicar que determinada reclamação se afasta significativamente do padrão observado em milhares de outros casos. Isso pode justificar aprofundamento investigativo, mas não deveria transformar automaticamente o segurado em fraudador.
Quanto mais avançarem os sistemas antifraude, maior será, portanto, a necessidade de explicabilidade, rastreabilidade e governança das decisões. A IA pode auxiliar a investigação, mas o fundamento jurídico de uma negativa de indenização não pode ser reduzido à afirmação de que ‘o sistema identificou comportamento suspeito’. A nova disciplina do contrato de seguro torna esse ponto ainda mais relevante ao reforçar a necessidade de fundamentação adequada das decisões da seguradora e ao atribuir consequências à forma pela qual a regulação do sinistro é conduzida. Em fraude digital, investigar bem significará não apenas encontrar a inconsistência, mas preservar tecnicamente sua origem e construir uma prova capaz de sobreviver ao contraditório.
Por isso acredito que uma das grandes transformações da regulação de sinistros nos próximos anos será a incorporação definitiva da prova digital. Logs de acesso, metadata, trilhas de auditoria, identificação de dispositivos, histórico de alterações, registros de autenticação, geolocalização quando juridicamente legítima, cadeia de custódia de arquivos digitais e mecanismos de detecção de conteúdo sintético passarão a ter importância equivalente ou até superior à de determinados documentos tradicionalmente utilizados na regulação. Não bastará mais perguntar se a fotografia parece verdadeira. Será necessário saber de onde ela veio. Não bastará analisar se uma nota fiscal aparenta regularidade formal. Talvez seja necessário confrontá-la com outras bases de informação. Não bastará reconhecer uma voz. Será preciso verificar se ela efetivamente pertence à pessoa que aparenta representar.
A experiência internacional também tem demonstrado que o cyber risk não deve ser compreendido apenas sob a perspectiva indenizatória. A Geneva Association vem desenvolvendo a ideia de que o seguro cyber pode atuar como instrumento de cyber resilience, porque o processo de subscrição influencia diretamente a maneira como empresas avaliam e administram seus riscos tecnológicos. O segurador não apenas indeniza depois do evento. Ele começa a estabelecer requisitos de autenticação, backup, atualização de sistemas, proteção de credenciais, resposta a incidentes e governança de terceiros. Essa função é particularmente interessante porque aproxima o seguro de sua vocação histórica de prevenção. O seguro não elimina o risco, mas pode organizar economicamente incentivos para que ele seja melhor administrado.
Essa lógica, contudo, traz um desafio importante para o mercado. Quanto maior a capacidade de prevenção e detecção de fraude, maior tende a ser o volume de dados analisados pelas seguradoras. E quanto maior o volume de dados utilizado, maior será também a responsabilidade jurídica relacionada à sua utilização. A prevenção à fraude não cria uma zona de exclusão da proteção de dados. Pelo contrário. Sistemas capazes de cruzar informações cadastrais, comportamentais, financeiras e tecnológicas precisam ser acompanhados por critérios claros de necessidade, proporcionalidade, finalidade, retenção e segurança. O desafio não está em escolher entre prevenção à fraude e proteção de dados. Está em desenvolver um modelo capaz de realizar ambas de maneira legítima.
Também será necessário revisar a linguagem dos próprios contratos. A discussão internacional sobre silent cyber ou non-affirmative cyber demonstra bem esse problema. Existem exposições cibernéticas potencialmente presentes em apólices que não foram originalmente concebidas, subscritas ou precificadas para cobri-las. Um ataque digital pode produzir interrupção de negócio, responsabilidade civil, dano patrimonial, perda financeira, violação de dados e reclamações simultâneas em diferentes carteiras. O risco deixa de respeitar as fronteiras administrativas dos produtos. A EIOPA já vem alertando sobre a necessidade de identificação e gestão dessas exposições, e a OECD também destaca a importância de maior clareza na delimitação das coberturas cyber. Para o direito brasileiro, essa discussão será especialmente relevante à medida que a lei 15.040 passar a produzir jurisprudência sobre delimitação do risco, interpretação contratual e fundamentação de negativas.
Há ainda um aspecto que considero decisivo. A fraude digital muda a lógica da confiança. O seguro sempre conviveu com informação assimétrica. O segurado conhece aspectos de seu próprio risco que a seguradora não conhece, e a seguradora dispõe de conhecimento técnico e atuarial que o segurado normalmente não possui. O contrato é construído em torno dessa assimetria e tenta administrá-la mediante deveres de informação, boa-fé, subscrição, regulação e prova. A IA introduz um elemento novo nessa relação: ela possibilita criar informações aparentemente confiáveis sem que exista necessariamente um fato real que lhes corresponda. Isso significa que parte da confiança que antes era depositada na aparência documental precisará migrar para a verificação da origem e da integridade da informação.
“Durante décadas, aprendemos a identificar documentos falsos. Agora precisaremos aprender a identificar realidades sintéticas”.
Essa é, a meu ver, a verdadeira ruptura. Durante décadas, aprendemos a identificar documentos falsos. Agora precisaremos aprender a identificar realidades sintéticas. A diferença parece semântica até que se compreenda o impacto que isso terá sobre subscrição, sinistros, prova, resseguro, compliance e processo judicial. Um fraudador não precisará mais necessariamente falsificar dez documentos diferentes para sustentar uma narrativa. Uma mesma ferramenta poderá produzir todos eles, mantendo identidade visual, datas, coerência textual e até informações cruzadas. A escala econômica da fraude tende, assim, a aumentar ao mesmo tempo em que seu custo tecnológico diminui.
Por isso não acredito que cyber risk possa continuar sendo assunto restrito aos especialistas em segurança da informação. Ele já é assunto do direito securitário. O advogado que atua em seguros precisará compreender progressivamente conceitos como spoofing, deepfake, synthetic identity, device fingerprint, credential stuffing, metadata e cadeia de custódia digital. Da mesma maneira, profissionais de tecnologia precisarão compreender que detectar uma anomalia não significa demonstrar juridicamente uma fraude. O mercado precisará aproximar áreas que durante muito tempo trabalharam separadamente.
Essa aproximação é particularmente importante porque a fraude não pode ser combatida a qualquer custo. O seguro é, em sua essência, um mecanismo construído sobre confiança e mutualidade. Se os instrumentos antifraude forem utilizados de maneira indiscriminada, transformando todo segurado em suspeito potencial e toda divergência em indício de má-fé, o mercado poderá produzir um efeito contrário ao pretendido. Combater fraude exige rigor, mas também proporcionalidade. A tecnologia precisa permitir investigação mais precisa, e não suspeita generalizada.
Tenho a impressão de que estamos entrando em uma fase em que a pergunta central de determinados sinistros deixará de ser simplesmente ‘o evento ocorreu?’ para se tornar ‘conseguimos demonstrar que a realidade digital que nos foi apresentada corresponde ao que efetivamente aconteceu?’. Essa alteração é muito mais profunda do que parece. Quando chegarmos a esse ponto, não estaremos discutindo apenas um novo risco ou uma nova forma de fraude. Estaremos discutindo a própria arquitetura da confiança sobre a qual o contrato de seguro foi historicamente construído.
_____________
BIENER, Christian; ELING, Martin; WIRFS, Jan Hendrik. Insurability of Cyber Risk: An Empirical Analysis. The Geneva Papers on Risk and Insurance - Issues and Practice, 2015.
THE GENEVA ASSOCIATION. Cyber Risk Accumulation: Fully Tackling the Insurability Challenge. Geneva: The Geneva Association.
THE GENEVA ASSOCIATION. Strengthening Cyber Resilience Through Insurance. Geneva: The Geneva Association.
OECD. Enhancing the Role of Insurance in Cyber Risk Management. Paris: OECD Publishing, 2017.
OECD. Encouraging Clarity in Cyber Insurance Coverage. Paris: OECD Publishing, 2020.
EIOPA. Supervisory Statement on the Management of Non-Affirmative Cyber Exposures. European Insurance and Occupational Pensions Authority.
BRASIL. Lei nº 15.040, de 9 de dezembro de 2024. Dispõe sobre normas de seguro privado.